API Key 审计器

扫描 skills 目录下的硬编码凭证，并输出集成情况报告。

运行方式

# 仅审计（只读，不修改任何文件）
python3 ~/.openclaw/workspace/skills/api-key-auditor/scripts/audit.py

# 自动迁移：将未集成的 key 写入 openclaw.json
python3 ~/.openclaw/workspace/skills/api-key-auditor/scripts/audit.py --fix

参数说明

报告输出含义

迁移工作流

1. 运行审计，查看 ⚠️ 未集成项
2. 运行 --fix，脚本自动将 key 写入 openclaw.json env.vars，并给出需要手动替换的文件位置
3. 在对应文件中将硬编码值替换为环境变量引用：
• Python：os.environ.get('VAR_NAME')
• Shell：$VAR_NAME 或 ${VAR_NAME}
4. 重启 OpenClaw 使环境变量生效（openclaw gateway restart）
5. 再次运行审计确认 ✅

设计说明

• mcporter key 不抽取：~/.mcporter/mcporter.json 里的 MCP server URL 中的 ?key= 参数，已由 mcporter 统一管理，不属于需要抽取的硬编码凭证
• 占位符自动过滤：your-api-key-here、REPLACE_ME 等示例值不会误报
• 只读模式安全：不加 --fix 时，脚本不修改任何文件